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シス テム 設定 の 要件 


e PowerShell 実行 ポリ シー を 設定 し ます 

e WinRM IIS 拡張 機能 確認 し ます 

e PowerShell 仮想 ディ レク トリ の Windows 認証 を 有効 化し ます 

e PowerShell 仮想 ディ レク トリ の SSL 設定 を 確認 し ます 

e PowerShell 仮想 ディ レク トリ の アプ リケーション プー ル を 確認 し ます 
e PowerShell 仮想 ディ レク トリ の セキ ュ リ ティ を 確認 し ます 


1. [Run as administrator」 を 選択 する こと で 、 Windows PowerShell ウィ ンド ウ を 開き 、 以下 に 示す コマ ンド を 実 
行 し ます 。 
Set-ExecutionPolicy RemoteSigned 


* 


Windows PowerShe1] | 
Copyright (C) 2013 Microsoft Corporation. All rights reserved. 


PS C:\Windows\system32> Set-ExecutionPolicy RemoteSigned 


Execution Policy Change 

The execution policy helps protect you from scripts that you do not trust. Changing 
the execution policy might expose you to the security risks described in the 

about Execution Policies help topic at 

iut ://90. microsoft. com/fwlink/?LinkID=135170. Do you want to change the execution 
policy? 


[N] No [S] Suspend [?] Help (default is "Y"): Y 
PS C:\Windows\system32> 


2. Server Manager の 「Add Roles and Features | Cl WinRM IIS Extensions] を 有効 に し ます 。 


Windows Remote Management (WinRM) IIS 拡張 機能 に より 、 サ ー バ は WS-Management プロ トコ ル を 使 
用 する こと で クラ イア ント コン ピュ ー タ か ら の 管理 要求 を 受信 で きる よう に な り ま す 。 WinRM IX, Microsoft 
が 実装 する WS-Management プロ トコ ル で す 。 Web ベー ス の サー ビス を 使用 し て 、 ロ ー カ ルコ ンピュータ と 
リモ ー ト コン ピュ ー タ の 間 で の 安全 な 通信 が 可能 に な り ま す 。 
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b Add Roles and Features Wizard 


Select features 


Before You Begin 
Installation Type 
Server Selection 
Server Roles 


Confirmation 


f& Add Roles and Features Wizard 


手順 は 以下 の と お り で す 。 


Select one or more features to install on the selected server. 


Fea 


Installation progress 


JODDSSEOOSoOoOo! 


Telnet Client 

TFTP Client 

VM Shielding Tools for Fabric Management 
Windows Biometric Framework 

Windows Defender Features (Installed) 

Windows Identity Foundation 3.5 

Windows Internal Database 

Windows PowerShell (2 of 5 installed) 

Windows Process Activation Service (2 of 3 installe 
Windows Search Service 

Windows Server Backup 

Windows Server Migration Tools 

Windows Standards-Based Storage Management 


Wireless LAN Service 
WoW64 Support (Installed) 
XPS Viewer 


View installation progress 


Q Feature installation 
TE 


Installation succeeded on SVR1.winadmins.local. 


x 


DESTINATION SERVER 
SVR1.winadmins.jocal 


Description 

Windows Remote Management 
(WinRM) IIS Extension enables a 
server to receive a management 
request from a client by using WS- 
Management. WinRM is the 
Microsoft implementation of the 
WS-Management protocol which 
provides a secure way to 
communicate with local and remote 
computers by using Web services. 


Install 


DESTINATION SERVER 
SVR1.winadmins Jocal 


WinRM IIS Extension 


You can close this wizard without interrupting running tasks. View task progress or open this 
page again by clicking Notifications in the command bar, and then Task Details. 


Export configuration settings 


< Previous 
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Cancel 


3. Exchange 2010+ サー バ に ログ イン し て 、 PowerShell サイ ト 上 で Windows 認証 を 有効 化し ます 。 
Internet Information Services (IIS) Manager」 コ ン ソ ー ル を 開き ます 。 


Exchange Server に 接続 し ます 。 
以下 に 示す よう に 、「Sites」 つ 「“ Exchange サイ ト の 名 前 "」 一 TPowerShell」 を 選択 し て 、「Authentication」 
を 開き ます 。 


Windows 認証 を 有効 化し ます 。 以下 に 示す よう に 、 右 クリ ッ ク し て 、「Providers as」 つ 「Negotiate」 を 選択 し 
まず 。 
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プロ バイ ダ : 


Enabled Providers: 


Negotiate 


Select a provider from the list of available providers and click Add 
to add it to the enabled providers. 


Available Providers: 


4. http URI を 使用 し て PowerShell 仮想 ディ レク トリ に アク セス する に は 、 以 下 に 示す よう に 、PowerShell 仮想 
ディ レク トリ と デフ ォ ル ト の IIS サイ ト に つい て 、 SSL チェ ッ ク を 無効 化 (「Ignore」 を 選択 ) し ます 。 


PowerShell 仮想 ディ レク トリ : 
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デフ ォ ル ト の Web サイ ト : 


[Require SSL」 を 無効 に し ます 。 


| Sb » CEXCHANGE2013MB » Sites » Default WebSite » PowerShell » 
IL ——— ーー ————— 


e- idi£ 18 (i SSL settings 
‘Gy Start Page 
4-83 CEXCHANGE2013MB (COM2012R2\exchange2013) 
9 Application Pools 
a T] Sites に 
4-@ Default Web Site ae 
p- aspnet client © Ignore 
b Autodiscover O Accept 
bL bin 
PO ep 
bo ws 
AD mapi 
b- Microsoft-Server-ActiveSync 


This page lets you modify the SSL settings for the content of a website or application. 


Require 


5. Exchange Back End 


備考 : 忘れ ず に 「Apply」 を クリ ッ ク し て 、 変 更 を 保存 し て くだ さい 。 


5. また 、「Powershell Virtual Directory | — Basic Settings」 を 開き 、IIS レー ト の ホス ト に ある PowerShell 仮想 
ディ レク トリ に アク セス する た め に 正しい アプ リケーション プー ル (MSExchangePowerShellAppPool また は 
MSExchangePowerShellFrontEndAppPool ) ) お よび 物理 パス (C:\Program Files\Microsoft\Exchange 
Server\V<Exchange の バー ジョ ン >\ClientAccess\PowerShell) が 選択 され て いる こと を 確認 し て くだ さい 。 


@ > COCHANGEIOTEME p Stes p DEn Web Sie » Poweshel + 


® Powershell Home 


Iz 
1 Exchange Beck End 
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6. また 、 指 定 さ れ て いる 物理 パス に 対し て Exchange ユー ザ が 読み 取り パー ミッ ショ ン を 持っ て いる こと も 確 
認 し て くだ さい 。 この た め に は 、 以下 に 示す よう に 、 [PowerShell Virtual Directory | — Edit Permissions | ^ 


「Security」 タ ブー「Assign read permissions to user performing the scan」 を 選択 し ます 。 


> CECHANGESEMB > Shes » Defaut Wen She v PoweShel » 


£j Powershell Home 


+ Go + Ga ShowAl | Groupby: Category 


anc 
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スキ ャ ン ユ ー ザ 権限 


e Active Directory で 新しい ユー ザ ア カ ウ ント を 追加 し ます 


e 新しく 作 
e 新しく 作 


成 し た ユー ザ ア カ ウ ント に 対し て ロー ル / グ ルー プ の メン バー シッ プ を 追加 し ます 
成 し た ユー ザ ア カ ウ ント に 対し て Remote PowerShell を 有効 化し ます 


Active Directory で MS Exchange スキ ャ ン ユ ー ザ と し て の 新しい ユー ザ ア カ ウ ント を 作成 


する 


1. Server Manager を 開き 、 「Tools」 メ ニュ ー か ら 「Active Directory Users and Computers」 を 選択 し ます 。 
2. ADUC の 左側 の パネ ル で 、 ド メイ ン を 展開 し 、「Users」 コ ン テ ナ を クリ ッ ク し ます 。 


3. 右側 の パネ ル で 、 空 の スペ ー ス を 右 ク リッ ク し て 、 表示 され た メニ ュー か ら 「New」 っ 「User」 を 選択 し 3 


File Action View Help 


e| 2m] 4 0| XE e| Hm $utTYHut 


Ld Active Directory Users and Computers [co 
p D] Saved Queries 
4 調 com2012r2.comp.rdlab.qualys.com 
p ©) Builtin 
b [7] Computers 
b E] Domain Controllers 
b. DÌ ForeignSecurityPrincipals 
b. 7] LostAndFound 
b D] Managed Service Accounts 
b E] Microsoft Exchange Security Groups 
p D] Program Data 
p E] System 


Name 

る Administrator 

る ahu 

LA ahu2 

8, ahu2-group 

82, Allowed RODC Password Replication Group 
&, Cert Publishers 

&, Cloneable Domain Controllers 

Si, Denied RODC Password Replication Group 
3, DiscoverySearchMailbox (D919BA05-46A6.… 
&, DnsAdmins 

&, DnsUpdateProxy 

&, Domain Admins 

8i, Domain Computers 

d». 


Sai m 


Computer 

Contact 

Group 

InetOrgPerson 
msDS-ResourcePropertyList 
msExchDynamicDistributionList 
mslmaging-PSPs 

MSMO Queue Alias 


Printer Foo 


[er 10 0 0 0 1] 


Shared Folder 


s KTUtgc 


È. Migration.8f3e7716-2011-43e4-96b1-aba6.… 
LA Pcdev1 

8L, Protected Users 
Rg RAS and IAS Servers 

Bry 

È rdlab 

Å, Read-only Domain Controllers 
m, Schema Admins 

2 sharepoint 2010 

3 sharepoint 2013 

9. B 
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Security Group... 
Security Group... 
Security Group... 
Security Group... 
Security Group... 


User 


Security Group... 
Security Group... 
Security Group... 
Security Group... 
Security Group... 
Security Group... 
Security Group... 
Security Group... 
Security Group... 


User 


Security Group... 
Security Group... 


User 
User 


Security Group... 
Security Group... 


User 
User 


Description 
Built-in account for ad... 


Members in this group c... 
Members of this group ... 

Members of this group t... 
Members in this group c... 


DNS Administrators Gro... 
DNS clients who are per... 
Designated administrato... 
All workstations and ser... 
All domain controllers i... 


All domain guests 
All domain users 


Designated administrato.… 
Members of this group … 


. Members in this group c... 
Built-in account for gue... 
Key Distribution Center ... 


Members of this group … 
Servers in this group can... 


Members of this group … 
Designated administrato.… 


E す 。 


4. [New Object — User」 ダ イア ログ で 、 [First name], Last name], kU! User logon name」 を 指定 し て 、 
INext」 を クリ ッ ク し ます 。 


5. 「Password」 を 入力 し 、 確認 用 に も う 一 度 入力 し た ら 、 「Next」 を クリ ッ ク し ます 。 


E Ce 


Pe 
Carn ps 


[C] User must change password at next logon 


[C] User cannot change password 
[V] Password never expires 
[^] Account is disabled 


Microsoft Exchange Server スキ ャ ン ユ ー ザ 権限 と 設定 9 


6. 確認 画面 で 新しい ユー ザ の 情報 を 


È ce m 


E 認 し た ら 、「Finish」 を クリ ッ ク し ます 。 


When you click Finish, the following object will be created: 


新しく 作成 し た ユー ザ ア カ ウ ント に 対し て ロー ル / ゲ ルー プ の メン バー シッ プ を 追加 し ます 


スキ ャ ン を 実行 する ユー ザ は 、 特定 の Exchange PowerShell コマ ンド レッ ト を 実行 で きる よう 、 以下 の ロー ル / グ ルー 
プ の メン バー シッ プ が 設定 され た Exchange AD ユー ザ で な けれ ば な り ま せん 。 


ユー ザ が 、 特定 の Exchange PowerShell コマ ンド レッ ト を 実行 する た め の Exchange 管理 ロー ル グ ル ー プ の メン 


バー で ある こと を 確認 し て くだ さい 。 


手順 は 以下 の と お り で す ( ド メイ ン 管 理 者 グル ー プ を 使用 し ます )。 


ユー ザ に 特定 の ロー ル を 割り 当て る に は 、「Active Directory Users and Computers (dsa.msc) 」 を 開き 、「Microsoft 
Exchange Security Groups」 で 必要 な グル ー プ を 右 クリ ッ ク し て 、 以下 に 示す 要件 に 従い 、Bxchange ロー ル グ ル ー 


プ に “ Exchange ユー ザ "を 追加 し ます 。 
。 IIS IUSRS 
e 組織 管理 
© ドメイン ユー ザ 
© 表示 専用 の 監査 ログ 管理 
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機能 /Exchange コマ ンド レッ トカ テ ゴ リ 


管理 者 監査 ログ 


Fr 


Exchange 管理 セン ター の 構成 設定 


Exchange 管理 セン ター の 接続 性 


n 


Exchange サー バ の 構成 設定 


Ea 


Exchange ヘル プ 設 


メッ セー ジ カ デ ヨリ 


プロ ダク トキ ー 


シス テム 状態 の テス ト 


表示 専用 の 管理 者 監査 ログ 
監査 ログ へ の 書き 込み 


Active Directory の ドメイン サー ビス の サー バ 
設定 


コマ ンド レッ ト 拡張 エー ジェ ント 


PowerShell 仮想 ディ レク トリ 


PowerShell お よび WinRM の イン スト ー ル 


Remote PowerShell 


Microsoft Exchange Server スキ ャ ン ユ ー ザ 権限 と 


必要 な Exchange ロー ル / セ キュ リティ グル ー プ の 


メン クベ バー シッ シシ 


組織 管理 
レコ ヨー ド 管 理 


表示 専用 の 組織 管理 


組織 管理 


サー バ 管 理 


組織 管理 


サー バ 管 理 


ES 
BE 
m 
HE 


レコ ー ド 管理 
注記 : また 、 表示 専用 の 管理 者 監査 ログ 管理 ロ 


ー ル を 管理 


ロー ル グ ル ー プ に 手動 で 割り 当て る こと が で き 3 
つい て は 、「 表 示 専 


E. 詳細 に 


H の 監査 ログ 」 を 参照 し て くだ さい 。 


いずれ か の ロー ル グ ル ー プ の メン バー また は いずれ か の 管 


理 ロ ー ル が 割り 当て られ て いる ユー ザ で あれ ば 
査 ロ グ に 書き 込み を 行う こと が で きま す 。 


組織 管理 
サー パ バ 管 理 
受信 者 管理 
UM 管理 


組織 管理 


組織 管理 


サー バ 管 理 


ロー カル サー ベ バ 管理 者 


組織 管理 


、 管理 者 監 


View Help 


£aixassgl 


TRTI 


E Active Directory Users and Computers [com20|| Name 


[7] Saved Queries 


b © Builtin 

p 1) Computers 

b E Domain Controllers 

p (^1 ForeignSecurityPrincipals 

b 1) LostAndFound 

b (7 Managed Service Accounts 

b Sj Microsoft Exchange Security Groups 
b. 7] Program Data 


hange System Objects 


b C TPM Devices 


& Administrator 
る ahu 
る ahu2 
&, shu2-group 
8, Allowed RODC Password Replication Group 
&, Cert Publishers 
Å, Cloneable Domain Controllers 
S, Denied RODC Password Replication Group 
È DiscoverySearchMailbox {D919BA05-46A6... 
8i, DnsAdmins 
8, DnsUpdateProxy 
8i, Domain Admins 
m Domain Computers 
[3 Domain Controllers 
Å, Domain Guests 
&, Domain Users 
& Enterprise Admins 
nterprise Read-only Domain Controllers 
exchange 2010 


ange 
る 9 
exchange 2016 
g 
3. Exchange Online-ApplicationAccount 


&è, Group Policy Creator Owners 

LA Guest 

& krbtgt 

È; Migration.8f3e7716-2011-43e4-96b1-aba6.… 
3. pcdevi 

[3 Protected Users 

Hi, RAS and IAS Servers 

Bry 

È rdlab 

"n Read-only Domain Controllers 

Å, Schema Admins 

& sharepoint 2010 

る sharepoint 2013 

E sharepoint 2016 

& sharepoint 2019 

3. SystemMailbox{ 1f05a927-de52-4715-87af-... 
3, SystemMailbox(bb558c35-97f1-4cb9-8ff7-... 
È; SystemMailbox(edc1c29-89c3-4034-b678... 
È testmb 


R; FederatedEmail.4c1f4d8b-8179-4148-93bf-... 


Security Group... 
Security Group... 
Security Group... 
Security Group... 
Security Group... 


User 


Security Group... 
Security Group... 
Security Group... 
Security Group... 
Security Group... 
Security Group... 
Security Group.. 

Security Group.. 

Security Group... 


Security Group... 


User 
User 
User 
User 


Security Group... 
Security Group... 


User 
User 


Security Group... 
Security Group... 


Member of: 


General | Address | Account | Profile | Telephones | Organization 


Published Certificates | Member Of | Password Replication | Daln | Object 


Name 

Domain Users 

IIS_IUSRS 

Organization Management 
View-Only Organization Man... 


Active Directory Domain Services Folder 
i /Micr 
/Micr 


[ ^e. | 


Remove 


Domain Users 


Primary group: 


There is 


no need to change Primary group unless 


Set Primary Group. | you have Macintosh clients or POSIX-compliant 
applications. 


Microsoft Exchange Server スキ ャ ン ユ ー ザ 権限 と 


ミル ーー 


nx. AE. 


Description 
Built-in account for ad... 


Members in this group c... 
Members of this group ... 

Members of this group t... 
Members in this group c... 


DNS Administrators 


DNS clients who are Securit 


I Environment. Sessions Remote control 


Designated admini 


Remote Desktop Services Profile COM+ 


Attribute Editor 


All workstations and 


Organization 


All domain controll 


General | Address | Account | Profile | Telephones 
Published Certificates ‘OF | Password Replication | Dialin | Object 


All domain guests 
All domain users 


Designated 
rs of this gro 


Members in this gro 


Active Directory Dome ^ 
com201272 comprdial | 
com201222 comp rdal 
com20122.comp rdlal 
com2012.2.comp rdial = 
com2012r2.comp rdlal 


Built-in account for 


Key Distribution Ceni 


Members of this gro: 


Primary group: 


Domain Users 


Servers in this group 


Set Primary Group. 


There is no need to change Primary group unless 
you have Macintosh clients or POSIX-compliant 


Members of this gro: 
Designated admini: 


applications. 
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新しく 作成 し た ユー ザ ア カ ウ ント に 対し て Remote PowerShell を 有効 化し ます 


(「Run as administrator」 を 選択 し て 、Windows PowerShell ウィ ンド ウ を 開き ) 、 以下 に 示す コマ ンド を 実行 し ます 。 


Set-User "qualys scan" -RemotePowerShellEnabled $True 


bx 


PS C:\Windows \system32> Add-PSSnapin_ Microsoft.Exchange.Management .PowerShel1.Snapin; 
PS C:\Windows\system32> Set-User qualys_scan -RemotePowerShellEnabled $True 


PS C:\Windows\system32> Get-User qualys scan | fl name, RemotePowerShellEnabled 


Name ・ qualys_scan 
RemotePowerShellEnabled : True 
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スキ ャ ン ユ ー ザ の メン バー シッ プ を 確認 し 、PowerShell スク リプ ト で 接続 を テス 


ト す る 


ユー ザ に 割り 当て られ て いる グル ー プ の メン バー シッ プ を 確認 し ます 
Remote PowerShell か ら MS Exchange サー バ へ の 接続 を テス ト し ます 


ユー ザ に 割り 当て られ て いる グル ー プ の メン バー シッ プ を 確認 し ます 


以下 の PowerShell コマ ンド を 使用 し て 、AD で ユー ザ に 割り 当て られ て いる グル ー プ の 上 記 メ ン バ ー シ ッ プ を 確認 
する こと も で きま す 。 


注記 : 第 一 に 、Get-ManagementRoleAssignment コマ ンド レッ ト を 実行 する た め に 、Role Management の 管理 ロ 


ル を ユー ザ に 割り 当て て お く 必 要 が あり ます 。 


PowerShell コマ ンド は 以下 の と お り で す 。 
Get-ManagementRoleAssignment -RoleAssignee < スキ ャ ン ユ ー ザ 名 > 


Remote PowerShell か ら MS Exchange サー バ へ の 接続 を テス ト し ます 
PS スク リプ ト を 使用 し て PowerShell 仮想 ディ レク トリ に 接続 する た め に 必要 な 手順 : 
[Run as Administrator」 で PowerShell また は PowerShell ISE を 開き 、 次 の コー ド を 挿入 し ます 。 


Susername="<DomainName>\<ScanUserName>" 


$tvar = "<Password Of Scan User>" 

$password = ConvertTo-SecureString -string $tvar -asPlainText -force 
$Credentials - New-Object 
System.Management.Automation.PSCredential ($username , $password) 
$Session = New-PSSession -SessionOption (New-PSsessionOption -SkipCACheck 
-SkipCNCheck) -ConfigurationName Microsoft.Exchange -ConnectionUri 
http: / / く FODN of Exchange Server Host>:80/powershell -authentication 
Kerberos -Credential $Credentials 

Import-PSSession $Session -AllowClobber 

# 次 の 行 に 示す よう に Exchange PowerShell コマ ンド を テス ト で きま す : 
Get-PopSettings | fl -property LoginType 

Remove-PSSession $Session 


ホス ト の 設定 に 従い 、 正 し い 入 力 情報 で 上 記 の コー ド を 実行 すれ ば 、 以 下 の よ うに 接続 結果 が 表示 さ 
れる は ず で す (以下 は 、 サ ンプ ル の シナ リオ で す ) 。 


これ に より 、 指 定 し 
た スキ ャ ン ユ ー ザ 
で 、Remote 
PowerShell を 使用 し 
て 、PowerShell 仮想 
ディ レク トリ に 接続 
ic er sie 0 きま 
Ts 
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認証 レコ ー ド の 管理 


Windows ホス ト で 実行 され て いる Microsoft Exchange Server の 認証 を 受け 、MS Exchange Server レコ ー ド を 作成 
し 、 コ ンプ ライ アン スス キャ ン を 行い ます 。 Windows 認証 が 必要 で ある た め 、 Web サー バ を 実行 し て いる ホス ト の 
Windows レコ ー ド も 必要 に な り ま す 。 


サポ ー ト され る バー ジョ ン 


Microsoft Exchange Server 2010、2013、 お よび 2016 を サポ ー ト し て いま す 。 


Windows レコ ー ド の 作成 


- IScans」 つ TAuthentication」 を 選択 し ます 。 


- Web サー バ を 実行 し て いる ホス ト に 、 既に 定義 され た Windows レコ ロー ド が ある か どう か を チェ ッ ク し ます 。 


- 同じ ホス ト に 対し て MS Exchange Server レコ ー ド を 作成 し ます 。 「New」 l Applications | ^ MS Exchange 
Server」 を 選択 し ます 。 


‘= Scans Scans Maps Schedules Appliances 
[Ez] | Search 
vw | New w | 
"- | Operating Systems... | 
F] N | perating Systems. 2 | Title 
Network and Security... b 
Global Default! Applications... LE Apache Web Server 
Global Default| Databases... » Docker ! 
VMware. [4 HTTP 
"| Agent Test I 
System Record Templates... > IBM WebSphere App Server 
Global Default Joas Serves 
Authentication Vaults 
™ Global Default MS Exchange Server 
Download... MS IIS 
Global Default Network Unix ] 
MS SharePoint 
Agent Test Unix Oracle HTTP Server 
Global Default Network Unix recie SRE Oe oper 
Tomcat Server 
7] Global Default Network Oracle T ビ っ gteu rre 


レコ ー ド を 作成 する パー ミッ ショ ン を 持つ ユー ザ 


マネ ー ジ ャ は 、 認証 レコ ー ド を 追加 する こと が で きま す 。 ユニ ッ ト マ ネー ジャ に は 、 次 の 権限 を 付与 する 必要 が あり 
ます 
- PC モジ ュー ル の 管理 


- 認証 レコ ー ド /Vault の 作成 / 編 集 
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動作 方 法 


Windows レコ ー ド に 用 意 さ れ て い 々 < 資格 情報 を 使用 し て 、 対象 と な る 各 ホ スト の 認証 を 受け ます 。 ホス ト が MS 

Exchange Server を 実行 し て いる 場合 は 、MS Exchange Server レコ ー ド が 存在 し て いる か どう か が チェ ッ ク さ れ ま す 。 
存在 し て いる 場合 、 Windows レコ ー ド の 資格 情報 を 使用 し て Windows シス テム を 認証 し 、Web サー バ の 設定 に ア 

クセ ス し て 、 コ ンプ ライ アン スス キャ ン を 行い ます 。 
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